Mehr Nachweise, null Resilienz? Versicherer sollten DORA rückwärts denken
Accenture
Was muss ein Versicherer über seine IKT-Dienstleister entscheiden können?
von Tobias Ludwichowski, Senior Manager, Accenture
DORA stellt mittelgroße Versicherer vor eine besondere Herausforderung. Die regulatorischen Anforderungen unterscheiden sich nicht grundsätzlich von denen großer Häuser, die verfügbaren Ressourcen aber schon. Eigene Programme, spezialisierte Teams und zusätzliche Tools lassen sich nicht beliebig aufbauen. Umso wichtiger ist es, sich auf das zu konzentrieren, was tatsächlich Steuerungswirkung entfaltet. Aus meiner eigenen Erfahrung als CISO in einem mittelständischen Versicherungskonzern beginnt das nicht mit dem Informationsregister, sondern mit einer einfachen Frage: Welche Entscheidungen müssen wir treffen können, um unsere Dienstleister und die damit verbundenen Risiken wirksam zu steuern? Von dieser gewünschten Wirkung sollte man Prozesse und Datenanforderungen rückwärts denken.
Transparenz und Ownership
Das Fundament dafür bilden Transparenz und klare Ownership. Ein Versicherer muss wissen, welche IKT-Dienstleister er nutzt, welche Leistungen sie erbringen, welche Geschäfts- und IT-Services davon abhängen und wer intern dafür verantwortlich ist. Das ist keine reine DORA-Übung. Auch aus wirtschaftlicher Sicht sollten Leistungen, Kosten und Risiken von Dienstleistern stets transparent sein und aktiv gesteuert werden.
Entscheidend ist, daraus keine zusätzliche Compliance-Welt zu bauen.
Regulatorische Anforderungen sollten an natürliche Steuerungspunkte im Lebenszyklus der Dienstleisterbeziehung anknüpfen, also dort, wo der verantwortliche Owner den Dienstleister ohnehin bewerten, verändern oder bestätigen muss.“
Das wäre etwa bei Vertragsanlage, Service-Onboarding oder wesentlichen Changes der Fall. So entstehen notwendige Informationen in bestehenden Geschäfts- und IT-Prozessen und werden aktualisiert, wenn sich Leistung, Abhängigkeit oder Risikosituation verändern.
Integrierte Prozesse kosten Zeit
Der Aufbau solcher integrierten Prozesse kostet zunächst Zeit, reduziert langfristig aber Pflege-, Abstimmungs- und Kontrollaufwände. Werden regulatorische Anforderungen dagegen nicht ausreichend in bestehende Abläufe integriert, besteht die Gefahr paralleler Strukturen: eine für das operative Geschäft und eine für Compliance, mit eigenen Datenbeständen, Abfragen und Verantwortlichkeiten.
Tobias Ludwichowski ist Senior Manager bei Accenture (Webseite) und betreut unter anderem den deutschen Versicherungsmarkt. Zuvor war er elf Jahre in unterschiedlichen Fach- und Führungsfunktionen in einem deutschen Versicherungskonzern tätig und hat dort unter anderem die CISO-Funktion verantwortet.Bei begrenzten Ressourcen ist zudem konsequente Risikoorientierung entscheidend. Nicht jede Dienstleisterbeziehung benötigt die gleiche Steuerungsintensität. Aufwand sollte dort konzentriert werden, wo ein Ausfall erhebliche Auswirkungen auf das Geschäft hätte, starke Abhängigkeiten bestehen oder realistische Alternativen fehlen.
Jedes regulatorisch geforderte Ergebnis sollte so gestaltet sein, dass es die Steuerungsfähigkeit des Unternehmens verbessert. Das gilt auch für das Informationsregister: Vollständigkeit allein schafft noch keine gute Steuerung. Entscheidend ist, wie die enthaltenen Informationen in bestehende Steuerungsprozesse einfließen. Wo bestehen möglicherweise kritische Abhängigkeiten von einzelnen Dienstleistern? Wie flexibel können Versicherer Leistungen bei Bedarf anpassen oder zu anderen Anbietern verlagern? Und wo müssen sie dem Risiko des Ausfalls einer kritischen Abhängigkeit mit einer belastbaren Exit-Strategie begegnen?
Gerade wenn aktuell vielerorts Wirksamkeitsprüfungen im Vordergrund stehen, sollte der Zweck nicht aus dem Blick geraten: DORA soll nicht primär mehr Nachweise produzieren, sondern die digitale Resilienz erhöhen. Mit wachsender Abhängigkeit von Cloud-, Plattform- und Softwaredienstleistern wird die Resilienz der eigenen digitalen Wertschöpfungskette zu einer zentralen Managementaufgabe. Wer Transparenz über kritische Abhängigkeiten schafft, Verantwortlichkeiten klärt und realistische Handlungsoptionen für Störungen, Veränderungen oder Ausfälle entwickelt, stärkt damit nicht nur die Compliance, sondern unmittelbar die eigene Betriebsfähigkeit.
Perspektivisch kann KI helfen, den manuellen Aufwand für Datenaufbereitung, Konsistenzprüfungen und die Analyse von Abhängigkeiten zu reduzieren. Technologie kann gute Governance effizienter machen, sie ersetzt sie nicht.“ Tobias Ludwichowski , Accenture/dk
Sie finden diesen Artikel im Internet auf der Website:
https://itfm.link/252054
Schreiben Sie einen Kommentar